Composants tiers et CRA : intégrer ou importer ?

Vous achetez un module Bluetooth. Ou un SDK firmware. Ou un thermostat connecté fini, avec le logo d'un fournisseur sur la boîte.

Ce ne sont pas le même problème CRA. Si vous intégrez la pièce dans votre propre produit, la documentation du produit fini vous appartient. Si vous importez un produit fini portant une marque non européenne, vous vérifiez la documentation de son fabricant. Cette distinction doit se faire avant le bon de commande, pas après l'arrivée de la marchandise.

La question que se posent réellement les acheteurs européens

La question est rarement formulée comme une question de rôle juridique. Elle ressemble à de l'approvisionnement :

• « Nous achetons le module sans fil à un fournisseur. »
• « Le SDK cloud vient d'un éditeur. »
• « L'ODM nous envoie la carte et nous y flashons notre firmware. »
• « L'appareil fini arrive d'un fabricant hors UE. »

Chaque phrase renvoie à un schéma documentaire différent. L'erreur consiste à toutes les traiter comme de la « diligence fournisseur ».

Notre position : la décision de rôle se prend à l'approvisionnement. Si les achats attendent que le produit soit en entrepôt, l'équipe conformité hérite d'une situation de fait qu'elle ne peut plus facilement modifier. Le bon de commande doit déjà indiquer si votre entreprise va rédiger la documentation du produit fini ou vérifier celle du fournisseur.

Pour la cartographie complète des rôles, utilisez l'arbre de décision des rôles CRA. Pour la question de l'achat, concentrez-vous sur les enregistrements qui découlent de l'acte d'approvisionnement.

Le point de bifurcation : intégrer des pièces ou importer des produits finis

La première bifurcation est pratique :

Acte d'approvisionnement	Test en langage clair	Résultat documentaire
Intégrer un module, une puce, un SDK, une bibliothèque ou une carte dans votre propre produit	Le produit fini atteint le marché de l'UE sous l'identité de votre produit	Vous rédigez la documentation du produit fini
Importer un produit fini portant une marque non européenne	Le produit du fournisseur est déjà complet et conserve l'identité du fournisseur	Vous vérifiez la documentation du fabricant
Apposer votre nom ou votre marque sur le produit	Le marché voit votre entreprise comme la source	Vous basculez vers le niveau fabricant
Revendre à l'identique après qu'un autre opérateur l'a mis sur le marché	Vous n'affectez pas les propriétés du produit	Vous menez les contrôles de diligence du distributeur

À retenir : ne demandez pas si le fournisseur est « conforme au CRA » dans l'abstrait. Demandez ce que vous faites de la pièce ou du produit.

Quand vous intégrez un module, une puce, un SDK ou une bibliothèque

Si vous intégrez un composant tiers dans votre propre produit, vous n'achetez pas une position de conformité clé en main. Vous achetez un intrant.

L'article 3 définit le produit comportant des éléments numériques comme incluant les composants logiciels ou matériels mis sur le marché séparément. Le même article définit le composant comme un logiciel ou un matériel destiné à être intégré dans un système d'information électronique. C'est pourquoi un module sans fil, un SDK firmware ou une bibliothèque embarquée vendus séparément peuvent avoir leur propre historique documentaire.

Cet historique ne devient pas pour autant le dossier de votre produit fini.

Quand vous mettez le produit fini sur le marché de l'UE, le travail de fabricant revient à l'entité qui met ce produit sur le marché sous son propre nom ou sa propre marque. Pour un fabricant de thermostats établi dans l'UE, le fournisseur du module sans fil peut fournir la déclaration du module, un inventaire des composants, les notes de version du firmware et les coordonnées de signalement des vulnérabilités. Le fabricant de thermostats rédige quand même l'analyse des risques de cybersécurité du thermostat, sa documentation technique, sa déclaration UE de conformité et la base de son marquage CE.

Les deux obligations relèvent de l'article 13 : la diligence raisonnable sur les composants que vous intégrez, et la documentation technique, l'évaluation de la conformité, la déclaration UE de conformité et le marquage CE du produit fini.

La règle pratique est simple : les enregistrements du fournisseur alimentent votre dossier. Ils ne le remplacent pas.

Les intrants fournisseur utiles comprennent :

• Identité du composant : modèle exact, version, branche de firmware, lot ou révision matérielle.
• Voie des mises à jour de sécurité : qui livre les correctifs du composant, comment vous les recevez et comment ils atteignent votre produit.
• SBOM ou inventaire des composants : assez de détail pour surveiller les vulnérabilités du composant pendant la période d'assistance.
• Contact vulnérabilités : un canal réel pour les vulnérabilités du composant, pas seulement une adresse commerciale.
• Dates de cycle de vie : dates de fin de commercialisation et de fin d'assistance du module, du SDK ou de la carte.

Pour l'examen fournisseur approfondi, utilisez le questionnaire de diligence fournisseur CRA. Cette page ne reprend pas ce questionnaire. Elle explique seulement où se placent les enregistrements du fournisseur dans le dossier du produit fini.

L'open source compte comme un composant tiers

La plupart des firmwares embarquent plus de composants open source que de code acheté. Le CRA traite l'open source comme n'importe quel autre composant : la diligence raisonnable couvre les logiciels libres et open source que vous intégrez, même quand personne ne vous les a vendus et qu'aucun contrat n'existe.

L'enregistrement change de forme, pas le devoir :

• L'identité compte toujours : consignez le projet, la version exacte et la source dont vous le tirez, de la même façon que vous consignez un module payant.
• La surveillance compte toujours : la bibliothèque entre dans votre inventaire des composants pour que vous puissiez surveiller les vulnérabilités pendant la période d'assistance.
• Les correctifs circulent dans les deux sens : quand vous trouvez une vulnérabilité dans un composant intégré, vous la signalez au projet qui le maintient et vous corrigez quand même votre propre produit. Quand vous corrigez vous-même le composant, vous partagez le correctif avec le mainteneur.

Il n'y a pas de fournisseur à interroger, l'examen porte donc sur le projet lui-même : son niveau d'activité, la façon dont il publie ses correctifs de sécurité, et si la version que vous figez reçoit encore ces correctifs.

Quand vous importez un produit fini portant une marque non européenne

Importer un produit fini est différent. Le produit existe déjà comme produit comportant des éléments numériques. Le fabricant hors UE y conserve son nom ou sa marque. Votre entreprise établie dans l'UE est le premier opérateur de l'UE à le mettre sur le marché de l'Union.

C'est un schéma d'importateur.

Le rôle de l'importateur n'est pas de recréer la documentation technique du fabricant. L'importateur contrôle que le fabricant a réalisé l'évaluation de la conformité et rédigé la documentation technique, et que le marquage CE et la déclaration UE de conformité sont en place. Il vérifie aussi que l'information utilisateur requise accompagne le produit, et que l'identification du produit, les coordonnées du fabricant et la date de fin de la période d'assistance sont présentes.

L'article 19 fixe ce schéma de vérification. Il impose aussi à l'importateur de conserver une copie de la déclaration UE de conformité pendant au moins dix ans après la mise sur le marché du produit, ou pendant la période d'assistance si celle-ci est plus longue. L'importateur doit également s'assurer que la documentation technique peut être mise à la disposition des autorités de surveillance du marché sur demande.

Une mention vous revient : l'importateur appose son propre nom, son adresse postale et son contact numérique sur le produit, son emballage ou un document d'accompagnement.

C'est un dossier de vérification, pas un dossier de fabricant.

Utilisez le guide importateur CRA pour le contrôle de réception complet. La distinction utile ici est plus étroite : si le produit reste le produit fini du fabricant hors UE, vous vérifiez. Si vous en faites votre produit, vous rédigez.

La chaîne documentaire : rédiger, vérifier ou conserver une copie

Ce tableau est l'enregistrement de travail. Utilisez-le par ligne de produits, pas par fournisseur. Un même fournisseur peut apparaître dans deux colonnes si vous achetez un module pour un produit et importez un produit fini de la même entreprise.

À retenir : un même document fournisseur peut jouer deux rôles. Pour un intégrateur, il devient une preuve d'intrant pour un dossier de produit fini. Pour un importateur, il appuie un enregistrement de vérification avant mise sur le marché.

Exemple concret : le même module Bluetooth/Wi-Fi dans deux parcours CRA

Prenez un module sans fil. Même modèle. Même firmware. Même fournisseur.

Le travail CRA change quand le schéma d'achat change.

Scénario A : un fabricant de thermostats de l'UE intègre le module.
Vous construisez un thermostat connecté sous votre marque. Vous achetez le module Bluetooth/Wi-Fi et l'intégrez à votre carte. Le fournisseur du module vous remet la fiche technique, la version du firmware, le contact sécurité et la déclaration de cycle de vie.

Vous rédigez quand même le dossier du thermostat. Votre dossier explique comment le module influe sur l'appairage, l'exposition au réseau local, la livraison des mises à jour, la surveillance des vulnérabilités et la planification de la période d'assistance. Les enregistrements du fournisseur du module se placent dans votre ensemble de preuves comme intrants.

Scénario B : un importateur de l'UE achète le thermostat fini.
Vous achetez un thermostat fini portant une marque non européenne. Le module sans fil est déjà à l'intérieur de l'appareil. Le fabricant hors UE conserve sa marque sur la boîte, le firmware, l'application et la déclaration.

Vous vérifiez la documentation du fabricant. Vous ne rédigez pas de nouveau dossier technique de thermostat. Vous conservez l'enregistrement de vérification à l'import, la copie de la déclaration et les engagements du fournisseur nécessaires pour répondre à une demande de surveillance du marché.

Le même module crée un travail différent parce que le produit mis sur le marché est différent.

Comment lire les documents fournisseur sans leur accorder une confiance excessive

Les documents fournisseur sont utiles quand ils répondent à une question produit. Ils sont faibles quand ils se contentent d'indiquer « conforme » sans produit, sans version ni historique d'assistance.

Commencez par cinq contrôles :

Document fournisseur	Ce qu'il doit prouver	Comment vous l'utilisez
Déclaration ou certificat de module	Produit, modèle et périmètre de firmware exacts	Le rattacher à la version du composant dans votre enregistrement produit
SBOM ou liste des composants	Éléments logiciels et firmware que vous pouvez surveiller	Alimenter votre inventaire produit et votre veille des vulnérabilités
Contact vulnérabilités	Une voie pour les vulnérabilités du composant	Le conserver dans le workflow de vulnérabilités du produit
Déclaration d'assistance ou de cycle de vie	Combien de temps le composant reçoit des correctifs	La comparer à la période d'assistance de votre produit
Processus d'avis de changement	Comment vous êtes informé des nouvelles versions de firmware, de puces ou de SDK	Déclencher une revue du dossier produit avant mise sur le marché ou import

À retenir : le document n'est utile que lorsqu'il se rattache à un produit, une version et une décision nommés. Un PDF fournisseur générique sans référence, sans date ni voie de contact ne doit pas porter une décision de mise sur le marché.

Pour un intégrateur, le dossier fournisseur doit répondre à une question : cette pièce peut-elle se placer dans le produit sans affaiblir sa cybersécurité pendant la période d'assistance ?

Pour un importateur, le dossier fournisseur doit répondre à une autre question : le fabricant hors UE a-t-il réalisé le travail sur le produit fini, et pouvez-vous démontrer que vous l'avez vérifié avant la mise sur le marché de l'UE ?

L'idée n'est pas de « collecter plus de dossiers ». L'idée est de « décider ce que chaque dossier prouve avant d'acheter ».

Le point de contrôle au bon de commande

Intégrez la décision de rôle au processus d'achat. Les principales obligations du CRA s'appliquent à partir du 11 décembre 2027, et tout produit que vous mettez sur le marché à partir de cette date doit disposer de ces enregistrements. Une revue de conformité après l'arrivée de la marchandise est tardive, coûteuse et souvent politique.

Avant de signer le bon de commande, posez ces questions :

1. Qu'achetons-nous ? Un composant, une carte, un SDK, une dépendance cloud ou un produit fini.
2. Quel nom atteint le marché ? Votre marque, celle du fournisseur, ou les deux.
3. Allons-nous modifier le firmware, le routage cloud, les voies de mise à jour ou les réglages de sécurité par défaut ? Toute réponse positive appelle une revue de rôle.
4. Quels enregistrements arrivent avec la pièce ? Déclaration, index de documentation technique, SBOM, date d'assistance, contact vulnérabilités et information utilisateur.
5. Quels enregistrements rédigeons-nous ? Ne marquez la documentation du produit fini, la déclaration et les enregistrements de période d'assistance comme vôtres que lorsque l'identité de votre produit atteint le marché.
6. Quels enregistrements vérifions-nous ? Ne marquez les enregistrements du fournisseur ou du fabricant comme preuves de vérification que lorsque le produit fini reste sous l'identité du fournisseur.
7. Quel événement rouvre la décision ? Changement de firmware, fin de vie chez le fournisseur, changement de marque, nouvelle révision de module, changement de point d'accès cloud ou avis de vulnérabilité.

L'acheteur doit pouvoir répondre à ces questions en une page. S'il faut une série de réunions, l'achat n'est pas prêt pour la planification de mise sur le marché.

Erreurs fréquentes au stade de l'approvisionnement

Ces erreurs apparaissent avant que l'ingénierie ne voie une vulnérabilité. Elles naissent aux achats, dans la mise sous marque propre et à la réception.

• « Le module porte le marquage CE, donc notre dossier produit est bouclé » : le marquage du module ne couvre pas l'architecture du produit fini, sa voie de mise à jour, sa période d'assistance ni son analyse des risques. Traitez-le comme une documentation d'intrant.
• « Le fournisseur se dit conforme au CRA, donc nous pouvons importer » : une déclaration commerciale n'est pas un enregistrement de vérification. Demandez la déclaration, l'index de documentation technique, la déclaration de période d'assistance, le contact vulnérabilités et l'information utilisateur.
• « Nous apposons notre marque mais nous nous disons quand même importateur » : la mise sur le marché sous marque propre renvoie au niveau fabricant. Utilisez le guide marque blanche et OEM avant la mise en ligne de l'annonce.
• « Nous avons modifié le firmware mais conservé la déclaration du fournisseur » : modifier le firmware, le point d'accès cloud ou la voie de mise à jour peut changer le produit évalué. Faites le contrôle de rôle avant d'expédier.
• « Nous ne faisons que distribuer, donc personne n'a rien à vérifier » : les distributeurs mènent quand même des contrôles de diligence avant de mettre les produits à disposition. Utilisez la checklist distributeur pour le poste de réception.

La règle sûre la plus courte : si le produit change ou si votre nom devient la source, arrêtez et refaites l'analyse de rôle.

Cas particuliers traités sur d'autres pages

Utilisez ces pages quand la situation sort de la bifurcation « composant » :

Cas particulier	Où aller	Pourquoi
Vous vendez un produit OEM sous votre propre nom	Guide marque blanche et OEM	La mise sur le marché sous marque propre fait basculer le travail vers le territoire fabricant
Vous avez besoin d'un questionnaire fournisseur	Questionnaire de diligence fournisseur	Cette page couvre les signaux d'alerte, les modes opératoires et les clauses
Vous revendez uniquement des produits à l'identique	Checklist distributeur	Le contrôle de réception porte sur les marques visibles et les documents
Vous avez besoin de l'arbre des rôles complet	Qui doit se conformer au CRA	Cette page ne remplace pas la classification des rôles
Une même entité juridique cumule plusieurs rôles	Guide CRA multi-rôles	Le cumul de rôles est un problème de portefeuille d'entreprise

À retenir : renvoyez vers une autre page quand la question change. Ne transformez pas une page d'approvisionnement en composants en guide général des rôles CRA.

Quelles preuves conserver avant la mise sur le marché de l'UE

Commencez par une ligne de produits. Rattachez ensuite les enregistrements à cette ligne de produits, pas à un dossier fournisseur générique.

Suivez cet ordre :

1. Classez l'acte d'approvisionnement. Inscrivez composant intégré, import de produit fini, produit sous marque propre ou revente à l'identique en face de la référence.
2. Nommez le propriétaire du document. Marquez la documentation technique comme à nous, au fabricant ou non détenue.
3. Rattachez les intrants fournisseur. Conservez fiches techniques, SBOM, dates d'assistance, versions de firmware, contacts vulnérabilités et déclarations dans l'enregistrement produit.
4. Consignez la décision. Conservez la date, le relecteur et la raison qui justifie de traiter l'enregistrement comme preuve de rédaction, de vérification ou de diligence.
5. Fixez le déclencheur de revue. Rouvrez l'enregistrement en cas de changement de firmware du fournisseur, de fin de vie du module, d'avis de vulnérabilité, de changement de marque, de changement de point d'accès cloud ou de changement de période d'assistance.